Recuperar os túneles de WireGuard dun PC con Windows morto

Un portátil morre con tres túneles de WireGuard configurados, e os ficheiros de configuración seguen no disco. Copialos a unha máquina de substitución produce un servizo que arrinca e logo se nega a levantarse. Os ficheiros están protexidos cunha chave que pertence á conta e á máquina que os crearon, así que os bytes viaxan e a capacidade de lelos non. O percorrido seguinte vai desde localizar o ficheiro ata a opción que realmente recupera o servizo.

Onde vive agora o ficheiro do túnel

O almacenamento cambiou entre versións. As instalacións antigas gardaban os perfís nos datos de aplicacións locais do perfil do sistema dentro dun cartafol WireGuard\Configurations, e as compilacións actuais usan un directorio de datos dentro da árbore de ficheiros do programa. Cada túnel é un só ficheiro cunha dobre extensión que nomea a protección:

Get-ChildItem "C:\Program Files\WireGuard\Data\Configurations"

O sufixo .dpapi non é decoración. O ficheiro é un blob protexido, e o servizo está deseñado para consumilo exactamente nesa forma. A forma admitida de instalar un túnel a partir del é unha chamada elevada que apunta ao blob:

$blob = "C:\Program Files\WireGuard\Data\Configurations\hq.conf.dpapi"
wireguard.exe /installtunnelservice $blob

Ese comando só ten éxito no contexto que pode desembrulhar o blob. Instala un servizo; non descifra nada por vostede.

Por que o blob non se abre noutro sitio

A protección deriva a súa chave das credenciais de inicio de sesión do usuario e, segundo o ámbito escollido, da máquina. A documentación de Microsoft para a chamada de protección di que o valor predeterminado pertence ao usuario e á máquina que o cifraron, e unha opción para toda a máquina cambia quen pode desembrulhalo. En ambos os casos a chave vive no material de credenciais do sistema operativo, non dentro do ficheiro. O texto cifrado é portátil; a chave non.

Tomar posesión do cartafol cambia unha ACL e nada máis. Montar o disco antigo nunha caixa e copiar o blob a un PC novo déixalle un texto cifrado cuxa chave nunca se copiou. O fallo é criptográfico, e ningunha reinstalación do servizo o cambia. A máquina nova non ten ningunha chave mestra para esa conta, e o almacén de chaves antigo non viaxa co ficheiro.

Os produtos que gardan a configuración nun ficheiro ofuscado deixan claro o contraste. Unha configuración que só está ofuscada vólvese lexible en canto atopa a marca que desactiva a ofuscación; un blob protexido segue pechado sen a chave. Confundir ambas as cousas leva a xente a buscar un decodificador que non existe.

Que probar mentres o sistema antigo aínda arrinca

Se a instalación aínda arrinca, exporte os túneles desde o cliente mentres ten a sesión iniciada coa conta que os creou. A exportación produce ficheiros de configuración normais, e é nese punto onde unha copia de seguridade se volve portátil.

Se o disco é lexible pero Windows non arrinca, os ficheiros protexidos están efectivamente perdidos. As ferramentas que prometen recuperalos ou ben se executan no contexto orixinal, que xa non ten, ou ben lle piden que entregue o blob e a imaxe do seu disco antigo, o cal é unha decisión sobre a que paga a pena deterse.

Anote o que aprenda en calquera caso: os nomes dos túneles, os extremos e as chaves públicas. Os nomes e os extremos permítenlle reconstruír rápido, e as chaves públicas permiten que o outro lado identifique que entrada eliminar.

Reconstrúao desde o lado do par

Para un par que controle, xere un par de chaves novo e engada a chave pública nova á lista do par. Para un extremo corporativo ou aloxado, pida ao administrador que emita unha chave nova e elimine a antiga. Esa solicitude é a mesma que faría tras un roubo, porque un disco perdido significa que a chave privada antiga debe tratarse como exposta.

Despois reconstruía o túnel cos valores que anotou, e confirme o aperto de mans antes de borrar calquera outra cousa. A entrada antiga no par debería desaparecer no mesmo cambio, para que un disco roubado non poida reconectarse despois.

A lección pertence á política de copias de seguridade e non a unha ferramenta de recuperación. Unha configuración de WireGuard é unha credencial: quen ten a chave privada ten a identidade do par, e non hai un segundo contrasinal polo medio. Ou ben exporta a configuración a propósito e gárdaa cos seus outros segredos, ou ben acepta que recuperar significa reemitir chaves, e anota que opción se aplica a cada túnel.